概要：
微软针对Google Brotli压缩技术中的高危漏洞发布带外安全更新，敦促.NET用户尽快升级。该漏洞可导致攻击者破坏进程内存，引发信息泄露、拒绝服务或权限提升，影响范围广泛，云环境尤其面临风险。
主要内容：
微软于10月25日发布带外安全更新，修复.NET 8、9、10及11中存在的Brotli缓冲区溢出漏洞（CVE-2026-111497，CVSS评分8.1）。该漏洞允许未认证攻击者通过恶意Brotli压缩数据读取或破坏进程内存，可能造成信息泄露、拒绝服务或权限提升。微软评估其“极可能被利用”，但尚无证据表明已遭成功攻击。
该漏洞根源在Brotli源代码中已于2月修复，但当时未意识到其安全影响，且后续无新版本发布。Node.js团队于10月21日首次披露并发布修复，OpenAI Codex Security的研究人员发现并报告。攻击者可通过特制请求向易受攻击系统提供恶意压缩数据来利用此漏洞。
除.NET外，Node.js、Python、Bun、Envoy、Istio等均已发布补丁。JFrog还发现通过特制JPEG XL图像利用FFmpeg的路径，Apache Arrow同样受影响。Wiz威胁研究员指出，91%的云环境依赖易受攻击组件，82%的云环境存在公开暴露的Node.js实例，云用户面临广泛风险。OpenAI建议在打补丁前阻止不可信的Brotli压缩数据，并重启服务以确保修复生效。